Стало известно о восьми новых атаках на процессоры Intel/ARM

Ну вот и зажили! 👍

Если бы Линус Торвальдс не отвлекался на создание стольких дистрибутивов, а пилил только один, то у него бы оставалось много времени, чтобы сделать нормальные патчи для устранения этих уязвимостей.

А на байкале это не работает, как и многое другое

плохо то, что они корячат код систем и компиляторов из-за угрозы, которая касается только хостеров виртуальных машин. для большинства серверов и юзерских машин это никуда не упёрлось, а производительность падает в разы. сейчас из-за этого поноса понаделают косяков в ядре.

Intel намерена выпустить исправления для ошибок

Сколько % потери производительности?

Нужен закон обратный закону Мура, сколько уязвимостей будут находить каждыйе N лет и насколько из-за этого будет падать производительность, лол.

Зато производителям процов это наруку, теперь они заставят всех менять процы каждый год. Кто не обновил проц - просадка по производлительности в 2 раза, либо решето. Решили перенять маркетинг из мобильного сегмента.

Почему вы только на это обращаете внимание, но не на методическое включение в дистрибутивах всяких PIE, stack protector и тд? По-отдельности они много не отнимают, но кумулятивный эффект сажает производительность.

А на байкале это не работает, как и многое другое

собственно на нем вообще мало что работает

Тебе же там говнобука хватает, который упирается исключительно в диск. Разницы не заметишь.

так предыдущие патчи можно отключить, да и производительность падала значительно только при большом количестве системных вызовов

при работе многих серверных приложений взаимодействие с кернелом очень активное. это любые операции с сетью, это любые операции с диском, вообще с любым железом. и производительность может падать до 2.5 раз. это означает, что после выхода таких патчей большинство админов не озаботится рассмотрением вопроса, а нужны ли им такие патчи, и тормозить будет всё.

при чём тут мой ноутбук? я работаю с кучей серверов. локально мне производительность действительно не нужна. но я отлично понимаю последствия таких кривых патчей для серверов и сети.

Воу-воу, полегче, виновники тут только производители процессоров. А патчеписцы наши друзья.

Линус вообще не занимается созданием и поддержкой дистрибутивов, он пилит ядро Linux и некоторые другие инструменты.

Ну, всё как я обещал: AMD чипы уязвимы к обоим вариантам Spectre (комментарий)

да вот не друзья они. они лепят патчи по дефолту. и это не везде можно отключить. потому что уже на уровне компилятора вставляют проверки и разные кривые попытки обхода уязвимостей проца, которые далеко не везде нужны.

важен контекст: где будет использоваться софт и на каком железе. а он не учитывается.

по сути, сейчас сборки всех дистров надо делить на две ветки: с учётом уязвимостей при запуске левого кода на машине и без.

пробили виртуалку. вангую что meltdown не просто не проверял бит доступа U в момент чтения, но еще и не проверял инвалидирована ли страница в TLB.

Это ты так шутишь несмешно, или тупишь нещадно?

Выделят небольшое количество транзисторов на проверки, когда в следующем поколении будут добавлять несколько очередных миллионов.

А мне показалось смешно. Это может у тебя чувство юмора притупилось?

Тебе просто изобилие местных шизиков ещё не приелось.

нужно просто запилить профили для ядра и компиляторов: performance и security, чтобы каждый мог выбрать свое

Выделят небольшое количество транзисторов на проверки, когда в следующем поколении будут добавлять несколько очередных миллионов

Процессоры так не работают.

Ждем принципиально новую нескучную архитектуру? От google. Go-machine!

Ждём systemd-x

С интегрированным модулем LTE и автоотправкой неотключаемой телеметрии. Интернет по паспортам уже прошлый век, локалочка по паспортам наше будущее!

В таком случае, идеальная система - реактос, запущенный на эльбрусе, там никакие уязвимости не страшны, если они и есть - ну и чо?

Ещё реактос защищена, насколько я знаю.

по идее - да. и выпускать сборки того и другого. причём везде, во всех дистрах. но я подозреваю, что никто не будет так заморачиваться.

Зато производителям процов это наруку, теперь они заставят всех менять процы каждый год. Кто не обновил проц - просадка по производлительности в 2 раза, либо решето. Решили перенять маркетинг из мобильного сегмента.

Ну, и где они, процы которые в 5 раз быстрее современных? Те самые, которые надо бежать покупать? Или ты считаешь что замедление всех процев на 50%, а потом ускорение новых на 2% это достаточный повод для покупки новых?

Ну, контроль за выполнением строннего недоверенного кода на твоей локальной машине - дело сложное.

По факту, возможность использования Meltdown была даже из современных браузеров. После опубликования этих уязвимостей в январе этого года, во всех браузерах порезали точность таймеров и запертили SharedArrayBuffer и все что с ним связано. Из-за этого сейчас невозможно использовать нормальную эмуляцию тредов в WebAssembly.

Чтобы гарантировать свою сохранность, нужно превращаться в Столмана и браузить интернет через Pdf'ы. Да и люди привыкли, что на их андроиды/айфончики можно ставить из маркета любую дрянь - операционка защитит и не пустит приложение куда не надо.

Ну так просадка производительности современных процессоров идет за счет сектюрити патчей. Патч можно и не ставить, но тогда останется дыра. Поэтому, когда на рынок выйдут новые процы, неподверженные спектру и мелтдауну, патч ставить не нужно будет, значит и просадки в производительности не будет.

Этой схемой давно пользуется Apple, поэтому яблочники каждый год-два обновляют свои девайсы.

Предлагаю нулевую атаку - можно зайти, выдернуть хард из системы и слить с него данные.

не ново.

Если бы Линус Торвальдс не отвлекался на создание стольких дистрибутивов, а пилил только один, то у него бы оставалось много времени, чтобы сделать нормальные патчи для устранения этих уязвимостей.

если бы он не отвлекался на создание 0 дистрибутивов, а пилил только один, было бы больше времени? две нобелевских премии сему холопу

на байкале это не работает

«Байкалы» есть ARM (Байкал-М) и MIPS (Байкал-Т). На М эксплойт работает.

как знал

sysctl hw.model

hw.model=Transmeta(tm) Crusoe(tm) Processor TM5500 («GenuineTMx86» 586-class)

И все эти атаки не фиксятся первоначальным патчем для спектра? Какой смысл выдумывать всё более сложные и труднореализуемые атаки, если лекарство уже есть. А кто уязвим, тех и более простым способом распуканить можно — староверов куча.

плохо то, что они корячат код систем и компиляторов из-за угрозы, которая касается только хостеров виртуальных машин. для большинства серверов и юзерских машин это никуда не упёрлось, а производительность падает в разы. сейчас из-за этого поноса понаделают косяков в ядре.

+1. Интересно, кто-нить догадается выпускать спец ядра для десктопов с отпиленными тормозящими патчами.

оно и так отключается в ядре. но прошивка для проца уже покоцана изнутри. и я не смотрела в деталях, если отключить фичи защиты, то не остаётся ли в ядре какой-нибудь тормозящей фигни. они там весьма существенно влезли в кернел с этими патчами. пока что я наблюдаю, что даже с отключенным kpti новые ядра томозят больше старых. хотя сложно сказать, почему конкретно.

даже с отключенным kpti новые ядра томозят больше старых. хотя сложно сказать, почему конкретно.

Если вдруг узнаешь - пожалуйста поделись. Думаю, не мне одному интересно. Подозреваю, что часть патчей для закрытия дыр (и включения тормозов) они ради политкорректности назвали как-нибудь так, чтобы неочевидно было.

Почему две? Линус помимо первых двух получил ещё восемь!

Ёмаё, вы хоть бы в матчасть вникли перед тем, как с умным видом толковать о бешеных просадках производительности. На десктопах эти патчи вообще никакой погоды не делают. Негативный эффект ощутим разве что на серверах с лютым io.

пиздеш, тормозит от программ на вайне, до любого рендера.

я не думаю, что там есть какая-то «политкорректность». но микрокод тоже пропатчен. думаю, что это главная проблема.

вот тебе пример «лютого io»: архивация какого-нибудь сорца с несколькими тысячами файлов. при включенных патчах архивация тормозит просто неприлично. ну и прочая работа с диском, естессна. и сеть тоже тормозит. потому что тормозят сокеты.

Тесты в студию. Архивация всегда упиралась в проц, сколько ни сталкивался с ней.

возьми и запусти. я не создаю «тесты». а так, в сети есть куча тестов и тесты на io проваливаются в 2.5 раза. я проверяла лично. естессна, я эту байду отрубила. но новые ядра всё равно тормозят по сравнению со старыми, до внедрения патчей. я гоняла тесты на скорость обмена по сети.

разве что

Просадка у постгре конская вообще, иногда о десятках процентов речь.